Microsoft 365 governance inrichten

Het begint vaak onschuldig. Iemand maakt een Team aan voor een project. Een collega deelt een map met een externe partij. Een jaar later weet niemand meer wie wat mag. Niemand weet waar belangrijke bestanden staan of wie ze beheert.

Microsoft 365 groeit mee met je organisatie. Zonder afspraken groeit de wildgroei net zo hard mee. Governance helpt daartegen. Het is geen dik beleidsdocument dat in een la verdwijnt. Het is een set heldere afspraken die iedereen kent en die in de praktijk werkt.

Wat governance in Microsoft 365 echt betekent

Governance klinkt zwaar, maar de kern is simpel. Je spreekt af wie waarover beslist, welke regels gelden en hoe je dat controleert in je volledige netwerk en IT omgeving, van werkplek tot cloud. Het gaat dus om mensen en werkwijze, niet alleen om techniek.

Veel organisaties verwarren governance met beveiligingsinstellingen. Die instellingen zijn belangrijk, maar ze vormen maar een deel van het geheel. Governance beantwoordt ook andere vragen. Wie mag een nieuw Team aanmaken? Hoe lang bewaar je bestanden? Wat gebeurt er met het account van iemand die vertrekt?

Denk aan een productiebedrijf met 120 medewerkers. Na drie jaar staan er tachtig Teams in de omgeving. Een derde is leeg of dubbel. Niemand durft op te ruimen, omdat niemand weet wie eigenaar is. Dat is geen technisch probleem. Het is een gebrek aan afspraken.

Goede governance voorkomt dit soort situaties. Het houdt je omgeving overzichtelijk, veilig en betaalbaar. Medewerkers merken dat ook. Ze vinden sneller wat ze zoeken en weten waar ze aan toe zijn.

Begin met eigenaarschap en rollen

Elke afspraak heeft iemand nodig die erachter staat. Begin daarom niet met instellingen, maar met rollen. Bepaal per onderdeel wie beslist en wie uitvoert. Dat hoeft niet ingewikkeld te zijn.

In een MKB organisatie met 50 tot 250 werkplekken zijn meestal drie rollen genoeg. Elke rol heeft een eigen, duidelijke taak:

• Een verantwoordelijke vanuit de directie, die keuzes bekrachtigt.
• Een functioneel beheerder, die dagelijks de regels toepast.
• Eigenaren per team of site, die weten wat er inhoudelijk speelt.

Zet die afspraken kort op papier. Een tabel van één pagina werkt beter dan twintig pagina’s tekst. Hieronder staat een voorbeeld van hoe zo’n overzicht eruit kan zien.

Let ook op de beheerrechten zelf. Geef niet te veel mensen een beheerdersrol. Een beheerder die alles mag, is een groot risico als dat account wordt overgenomen. Werk met aparte beheeraccounts en geef alleen de rechten die nodig zijn.

Leg spelregels vast voor data, delen en apps

Als de rollen helder zijn, maak je de spelregels. Begin klein. Drie onderwerpen leveren meteen veel op: dataclassificatie, delen en apps.

Bij dataclassificatie deel je informatie in op gevoeligheid. Drie niveaus zijn voor de meeste organisaties genoeg: openbaar, intern en vertrouwelijk. Met gevoeligheidslabels in Microsoft 365 kun je die niveaus ook technisch afdwingen. Een personeelsdossier krijgt dan automatisch strengere regels dan een productfolder.

Bij delen bepaal je wat toegestaan is. Mag een medewerker een bestand met iedereen delen via een link? Of alleen met mensen binnen de organisatie? Een goede standaard is: intern vrij delen, extern alleen bewust en met een duidelijke eigenaar.

Bij apps gaat het om toestemming. Medewerkers kunnen vaak zelf apps van derden koppelen aan hun account. Dat lijkt handig, maar zo krijgen onbekende partijen toegang tot je gegevens. Beperk dit en laat nieuwe apps eerst beoordelen.

Deze spelregels vormen de brug tussen governance en veiligheid. Op onze pagina over beveiliging lees je hoe we dat bij klanten aanpakken. Denk aan multifactorauthenticatie, apparaatbeleid met Microsoft Intune en 24/7 monitoring met Huntress. Governance bepaalt wat je wilt. De technische maatregelen zorgen dat het ook gebeurt.

Beheer de levenscyclus van accounts, teams en gasten

Een omgeving is nooit af. Mensen komen, gaan en veranderen van functie. Projecten starten en stoppen. Governance moet dus ook zeggen wat er gebeurt aan het einde van de levensduur.

Begin bij medewerkers. Maak een vast proces voor drie momenten: in dienst, andere functie en uit dienst. Bij uitdiensttreding hoort een vaste lijst. Het account gaat uit, de licentie komt vrij, de mailbox en OneDrive krijgen een nieuwe beheerder en de apparaten gaan terug. Zonder zo’n lijst blijven oude accounts maanden actief. Dat kost geld en vergroot het risico.

Dan de teams en sites. Spreek af dat elk team minimaal twee eigenaren heeft. Wordt een eigenaar ziek of vertrekt hij, dan staat het team er niet alleen voor. Stel ook een vervaldatum of periodieke controle in. Elk half jaar vraagt Microsoft 365 de eigenaar dan of het team nog nodig is. Is het antwoord nee, dan wordt het gearchiveerd.

Dezelfde gedachte geldt voor gasten. Externe accounts blijven vaak jaren bestaan na afloop van een project. Plan daarom een vaste controle in. Wie de afgelopen maanden niet is ingelogd, krijgt geen toegang meer. Dit is een kleine moeite met een groot effect.

Heb je naast Microsoft 365 ook een lokale of Azure omgeving, dan hoort die bij dezelfde afspraken. Identiteiten lopen vaak via beide werelden. Meer over die samenhang lees je op onze pagina over infrastructuur.

Houd governance levend met controle en back-up

De meeste governanceplannen mislukken niet door een slecht plan. Ze mislukken omdat niemand ze onderhoudt. Na een half jaar is het enthousiasme weg en gaat iedereen weer zijn eigen gang.

Plan daarom een vast ritme. Eén keer per kwartaal bekijk je een korte checklist:

Zijn er nieuwe beheerders of gasten bijgekomen? Zijn er teams zonder actieve eigenaar? Zijn er licenties die niemand gebruikt? Zijn er opvallende meldingen of afwijkingen in de logboeken?

Een uur per kwartaal is vaak genoeg om grip te houden. Het gaat om regelmaat, niet om perfectie.

Vergeet ook herstel niet. Governance gaat over wat je wilt behouden, dus je moet ook kunnen terugzetten wat per ongeluk verdwijnt. De standaard herstelopties in Microsoft 365 zijn beperkt in tijd en mogelijkheden. Daarom werkt De Koning ICT met een aanvullende back-up van AvePoint voor Microsoft 365. Dat is onderdeel van ons concept Modern Workplace+. Microsoft 365 vormt de basis. Daaromheen zetten we best of breed clouddiensten van derden voor extra veiligheid en herstel.

Dagelijkse controle hoort daar ook bij. Wij kijken elke dag naar omgevingen en back-ups van klanten. Zo grijpen we in voordat een klein probleem een storing wordt. Hoe dat in de praktijk werkt, lees je op onze pagina over werkplekken.

Klein beginnen, structureel blijven

Governance hoeft geen groot project te zijn. Begin met rollen, kies drie spelregels, regel de levenscyclus en plan een vast controlemoment. Daarmee heb je al meer grip dan de meeste organisaties.

Het belangrijkste is dat de afspraken passen bij jouw bedrijf. Een familiebedrijf met 80 werkplekken heeft andere behoeften dan een organisatie met meerdere vestigingen. Een standaardpakket past zelden precies.

Wil je weten waar jouw Microsoft 365 omgeving nu staat? De Koning ICT denkt graag met je mee, zonder verplichtingen en zonder verkooppraatje. Neem gerust contact op voor een eerlijk gesprek over wat jouw organisatie nodig heeft.

Veelgestelde vragen over microsoft 365 governance inrichten

Wat is het verschil tussen governance en beveiliging in Microsoft 365?

Beveiliging gaat over het beschermen van gegevens tegen misbruik en aanvallen. Governance is breder. Het bepaalt wie beslist, welke regels gelden en hoe je ze controleert. Beveiligingsinstellingen zijn dus een onderdeel van governance, maar niet het hele plan.

Hoeveel tijd kost het om governance in te richten?

Dat hangt af van de omvang van je organisatie en de huidige staat van je omgeving. Een eerste basis met rollen en spelregels staat vaak snel, als je klein begint. Daarna heb je een vast moment per kwartaal nodig om alles te blijven toetsen.

Wie moet verantwoordelijk zijn voor governance?

Het beste werkt een combinatie. De directie is eindverantwoordelijk en keurt de keuzes goed. Een functioneel beheerder voert ze dagelijks uit. Teameigenaren zorgen dat afspraken in hun eigen team worden nageleefd. Zo ligt governance niet alleen bij IT.